Le Dr Muzaffar Rao de l'UL discute du diplôme professionnel en programme de sécurité OT et de ce qui motive ses recherches sur la cybersécurité OT et ICS.
Pour le Dr Muzaffar Rao, l’Université de Limerick (UL) constitue depuis plusieurs années une base de recherche.
Lorsque Rao a rejoint UL pour la première fois en 2013, il était doctorant et effectuait des recherches sur le matériel reconfigurable pour la sécurité, en particulier les systèmes cryptographiques basés sur des réseaux prédiffusés programmables par l'utilisateur (FPGA).
Après son doctorat, Rao a commencé à travailler à l’université en tant que chercheur postdoctoral au Centre de robotique et de systèmes intelligents, un rôle qui, selon Rao, lui a permis de développer davantage « son expertise dans les systèmes cryptographiques matériels ».
Avance rapide jusqu’à aujourd’hui, et Rao est maintenant professeur agrégé au Département de génie électronique et informatique de l’UL, ainsi que chercheur associé au Lero, le Research Ireland Centre for Software.
Rao est également directeur du programme de diplôme professionnel en sécurité des technologies opérationnelles (OT) – un programme spécialisé de niveau 9 qui, selon Rao, est une « offre unique en Irlande », car il est spécifiquement dédié à la sécurité des OT et des systèmes de contrôle industriels (ICS).
L'objectif principal du programme, selon Rao, est de doter les professionnels des connaissances pratiques et des compétences spécialisées nécessaires pour « intégrer en toute sécurité les systèmes informatiques et OT tout en gérant efficacement les cyber-risques associés ».
« Développé en étroite collaboration avec des partenaires industriels, le cours se concentre sur les défis opérationnels du monde réel, les menaces spécifiques à l'OT, les cadres juridiques et réglementaires pertinents et les stratégies d'atténuation des risques », explique-t-il.
« L’accent est mis fortement sur la réduction des déficits de compétences de la main-d’œuvre afin de garantir que les diplômés puissent protéger et sécuriser des environnements opérationnels complexes. »
Rao a déclaré à SiliconRepublic.com que récemment, le cours a été dispensé avec Airbus CyberRange, une plate-forme de simulation et de formation qui offre « un apprentissage immersif et pratique grâce à des exercices réalistes basés sur des scénarios qui reflètent les infrastructures critiques du monde réel et les systèmes de fabrication intelligents ».
Sécuriser OT et ICS
Bien que ses fonctions se soient étendues à de nouvelles tâches telles que l'enseignement et le développement de programmes, ses recherches sur la cybersécurité continuent de constituer une partie importante de son poste à l'UL.
Les recherches actuelles de Rao se concentrent sur le renforcement de la sécurité et de la résilience des OT et des ICS, en particulier dans les environnements d'infrastructures critiques qui s'appuient sur des systèmes existants.
« Ces systèmes, nous dit-il, sont souvent difficiles, voire impossibles, à corriger, à remplacer ou à mettre hors ligne, ce qui rend les approches de sécurité conventionnelles peu pratiques. »
Il affirme qu’un « volet central » de son travail consiste à développer des mécanismes cryptographiques légers spécifiquement adaptés au matériel industriel vieillissant avec une puissance de traitement limitée, une bande passante limitée et de longs cycles de vie opérationnels – dans le but d’introduire des contrôles de sécurité stricts sans perturber les opérations industrielles.
Il étudie également les cadres d’alerte précoce et de détection d’intrusion pour les « menaces avancées, y compris au niveau des États-nations, dans les environnements OT et ICS ».
« Cela implique de remédier aux situations dans lesquelles la surveillance est minime ou inexistante, en accordant une attention particulière aux capteurs industriels et aux périphériques non surveillés qui créent des angles morts que les attaquants peuvent exploiter. »
Mais pourquoi cette recherche est-elle importante ?
Rao explique qu'une grande partie des infrastructures critiques de l'Irlande – notamment l'énergie, l'eau, les soins de santé et l'industrie manufacturière – dépendent encore de « technologies opérationnelles vieillissantes qui ne peuvent pas être facilement mises à niveau ou mises hors ligne ».
« Ces contraintes créent d’importantes failles de sécurité et rendent les services essentiels particulièrement vulnérables aux cybermenaces sophistiquées, notamment celles émanant d’acteurs étatiques ciblant les systèmes industriels à travers l’Europe », explique Rao.
« En développant des solutions cryptographiques légères adaptées aux appareils existants, en améliorant la détection précoce des intrusions et en sécurisant l'environnement IT/OT de plus en plus interconnecté, cette recherche s'attaque directement à ces risques.
« Il améliore la visibilité du système, limite les mouvements latéraux des attaquants et renforce la capacité de l'Irlande à prévenir et à répondre aux attaques cyber-physiques. En fin de compte, ce travail contribue à la résilience nationale, à la continuité des services essentiels et à la sécurité publique à une époque où les cyberattaques deviennent plus fréquentes, ciblées et complexes. »
Idées fausses et motivation
Rao dit qu'il a été attiré par ce domaine de recherche spécifique parce qu'il se situe « à l'intersection de domaines qui ont toujours façonné mon parcours universitaire ».
En fait, il affirme que ses recherches doctorales sur les conceptions cryptographiques basées sur FPGA l’ont naturellement exposé aux « défis de sécurité uniques et sous-abordés » de l’OT et de l’ICS.
« Ces environnements dépendent fortement du matériel existant qui sous-tend les infrastructures critiques, mais ne disposent pas des protections attendues dans les systèmes informatiques modernes. »
Une idée fausse à propos de ses recherches à laquelle Rao est souvent confronté est la croyance selon laquelle l'amélioration de la sécurité dans les environnements OT et ICS « consiste simplement à appliquer des contrôles de sécurité informatique traditionnels ou à attendre que les systèmes obsolètes soient remplacés ».
« En réalité, les infrastructures critiques ont rarement la possibilité de subir des temps d'arrêt, des correctifs fréquents ou une visibilité uniforme, et de nombreux systèmes industriels n'ont jamais été conçus dans un souci de sécurité », explique-t-il.
Il ajoute qu'il existe également une croyance selon laquelle une sécurité efficace nécessite une surveillance lourde, un matériel coûteux ou « des changements intrusifs qui risquent de perturber les opérations ». Rao affirme que ses recherches remettent directement en question cette hypothèse en « démontrant qu’une sécurité renforcée et une détection précoce des intrusions peuvent être obtenues à l’aide de techniques légères, sensibles au domaine et qui respectent les contraintes opérationnelles ».
« Ces méthodes s’attaquent aux angles morts tels que les capteurs non surveillés et peuvent détecter les attaques sophistiquées bien avant qu’elles ne dégénèrent en incidents physiques ou de sécurité, sans perturber les services essentiels. »
Après plusieurs années passées dans ce domaine de recherche, il faut se demander ce qui ramène Rao dans le domaine de l’OT et de l’ICS.
Comme Rao nous l'explique, il continue de trouver sa motivation dans « la combinaison du défi intellectuel et de l'impact sur le monde réel ».
« Contrairement aux systèmes informatiques conventionnels, les environnements OT ne peuvent pas simplement être corrigés, remplacés ou mis hors ligne, même s'ils sont confrontés à des menaces étatiques de plus en plus sophistiquées et à une convergence IT/OT croissante », explique-t-il.
« Développer une cryptographie légère, une détection précoce des intrusions et des architectures sécurisées sous des contraintes strictes de ressources et d’exploitation est à la fois techniquement exigeant et socialement important.
« La possibilité de produire des recherches qui ont une pertinence pratique et qui contribuent directement à la résilience des services essentiels est ce qui rend ce travail convaincant pour moi. »
